La société espagnole Scylt, chargée par l’Etat français de fournir la solution technologique du vote par internet aux élections législatives, assure que sa plateforme n’est pas concernée par le bug Heartbleed. Mais elle démontre encore la principale faille du vote par Internet : l’absence de transparence qui oblige à faire confiance.

(...) la découverte cette semaine de la faille Heartbleed dans la librairie OpenSSL confirme qu’il est illusoire de faire confiance à la technique pour sécuriser un vote électronique. Est-il possible d’être certain, en tant qu’électeur, que des clés utilisées pour voter n’ont pas été découvertes pour substituer un autre bulletin, ou que les votes n’ont pas été étudiés au détriment du secret de l’isoloir ?

Tout le problème est qu’il faut là encore faire confiance aux prestataires privés et à leurs promesses. La société espagnole Scytl, qui vend sa solution de vote électronique à l’Etat français, assure que "aucune de nos implémentations de votes en ligne n’est affectée par la vulnérabilité exposée dans OpenSSL ou par des attaques similaires au bug Heartbleed". (...)

On se souvient que le logiciel qui chiffre le bulletin côté client est basé sur Java. Or lors des élections de 2012, les autorités françaises avaient dû demander à utiliser une version non sécurisée de Java pour voter. Preuve que garantir la sécurité du vote par Internet est mission impossible, et plus encore lorsque l’on repose sur des solutions aussi opaques. Même l’Open Source n’est pas une garantie absolue, le code source buggé d’OpenSSL ayant été lisible sans être corrigé depuis plus de deux ans...